前端权限只是设置用户页面显示的,但实际上api的权限如果有照样是可以调用的

另外,我现在不想让用户具有查看的权限(默认现在登入后所有的都可以查看),想把查看权限收回,
只有我指定该用户具有查看权限才可以查看,这里需要怎么做

我开始以为每个model中设置:
permissions = (
("view_idc", "cat view idc"),
)
这个view_idc 是给用户设置查看权限的,但现在显示默认用户登陆之后是可以查看的,
那这个view_idc 又是干嘛的呢? 请大神求解一下,谢谢